Red teaming Quality-Diversity: por qué una sola puntuación de jailbreak oculta todo un mapa de fallos

¿De qué se trata?

La mayoría de la investigación sobre jailbreaks optimiza un único objetivo: encontrar el ataque con la tasa de éxito más alta. Quality-Diversity (QD) Evolution for Discovering Diverse Vulnerabilities in LLM Safety (arXiv:2606.00801, publicado en junio de 2026) sostiene que ese enfoque oculta la imagen real. En lugar de un único payload óptimo, utiliza una búsqueda evolutiva Quality-Diversity para cartografiar todo un archivo de ataques distintos y eficaces, cada uno ocupando un «nicho» diferente en el espacio de técnicas.

Un paper complementario de junio de 2026, Cross-Generational Transfer of Adversarial Attacks Reveals Non-Monotonic Safety Alignment in LLMs (arXiv:2606.00813), emplea la misma idea Quality-Diversity como sonda de red teaming automatizado y reporta un resultado incómodo: la seguridad no mejora de forma monótona de una generación de modelo a la siguiente.

Ambas contribuciones son defensivas y centradas en la medición. Describen una metodología de evaluación y lo que revela, no un exploit listo para usar.

Cómo funciona

Quality-Diversity designa una familia de algoritmos evolutivos (el más conocido es MAP-Elites). A diferencia de un optimizador clásico que converge hacia una única mejor solución, una búsqueda QD mantiene un archivo de soluciones agrupadas según «descriptores de comportamiento»: coordenadas que describen cómo funciona una solución, no solo su rendimiento. El algoritmo conserva el mejor ejemplar de cada celda, de modo que la salida es una cuadrícula de soluciones variadas e individualmente sólidas.

Aplicada al red teaming, la receta es la siguiente:

• Calidad = con qué fiabilidad un prompt candidato provoca un comportamiento inseguro en el modelo objetivo.
• Descriptores de diversidad = el estilo del intento, por ejemplo el encuadre empleado (hipotético, juego de rol, escalada multironda) y una posible capa de codificación (sustituciones de caracteres, ofuscación de texto).
• Evolución = mutar y recombinar prompts, puntuarlos contra el modelo y clasificar cada superviviente en su celda de descriptor.

La ventaja es la cobertura. Una búsqueda por gradiente o voraz tiende a colapsar sobre un único truco; una búsqueda QD devuelve decenas de ataques diferentes repartidos por el espacio de comportamientos, lo que constituye un proxy mucho mejor de «qué podría salir realmente mal en el mundo real». arXiv:2606.00801 reporta que distintos modelos presentan perfiles de vulnerabilidad distintos bajo esta búsqueda: los nichos que tienen éxito contra un modelo no son los que tienen éxito contra otro.

El estudio intergeneracional concreta la consecuencia. Usando ataques descubiertos mediante QD como sonda de transferencia entre generaciones de una misma familia de modelos de pesos abiertos, arXiv:2606.00813 reporta tasas de transferencia de aproximadamente 44–46 % hacia una generación pero solo 14–18 % hacia una generación posterior, y califica el hallazgo más amplio de alineación no monótona: una versión más reciente no está garantizada de ser más segura frente a la misma batería de ataques.

Por qué importa

Esto cambia la forma de leer un benchmark de seguridad. Una cifra única —«tasa de éxito de ataque 8 %»— puede parecer tranquilizadora mientras oculta que ese 8 % se concentra en un único truco fácil de corregir o, peor aún, que encubre varias clases de fallos independientes que una evaluación de un solo disparo nunca exploró. Un red teaming atento a la diversidad expone la forma de la debilidad, no solo su altura.

El resultado no monótono es el punto en el que los defensores deberían detenerse. Los equipos suelen suponer que actualizar a un modelo más reciente hereda todas las ganancias de seguridad anteriores. Las cifras de transferencia sugieren que esa suposición es insegura: la alineación se reentrena, se repondera y se reajusta entre generaciones, y una clase de ataques que estaba cerrada puede reabrirse silenciosamente. La seguridad es una propiedad de una versión de modelo concreta bajo una evaluación concreta, no un trinquete monótono.

Defensas

Las lecciones prácticas se generalizan mucho más allá de estos dos papers:

• Evalúe la diversidad, no solo una puntuación global. Haga seguimiento de cuántas clases de vulnerabilidades distintas sobreviven a su red teaming, y no únicamente de la tasa de éxito de ataque más alta. Una cifra agregada baja con un nicho de par en par sigue siendo una brecha.
• Vuelva a ejecutar su suite de seguridad en cada actualización de modelo. No suponga que un modelo más reciente hereda la robustez de la versión anterior. Trate cada versión como un sujeto nuevo y vuelva a probar toda la batería, incluidos los ataques que consideraba mitigados.
• Clasifique los hallazgos por técnica y luego defienda la clase. Si la QD hace emerger, por ejemplo, un nicho basado en codificación y un nicho basado en encuadre multironda, las mitigaciones deben apuntar a la clase (normalización/decodificación de entradas; monitorización del contexto multironda) en lugar del único prompt que usted atrapó.
• Combine la alineación a nivel de modelo con controles a nivel de sistema. Como la alineación puede retroceder, mantenga una defensa en profundidad: filtrado de salidas, autorización del uso de herramientas y diseño de agentes con mínimo privilegio, para que un fallo reabierto tenga un radio de impacto menor.
• Automatice el red teaming continuo. Una búsqueda de tipo QD es barata de reejecutar. Intégrela en la CI para cualquier despliegue sensible a la seguridad, de modo que las regresiones se detecten en el momento de la actualización y no después.

Estado

Elemento	Detalle
Paper principal	«Quality-Diversity Evolution for Discovering Diverse Vulnerabilities in LLM Safety»
Identificador arXiv	2606.00801
Paper complementario	«Cross-Generational Transfer of Adversarial Attacks Reveals Non-Monotonic Safety Alignment in LLMs» (arXiv:2606.00813)
Publicación	Junio de 2026
Tipo	Metodología de red teaming / evaluación — sin payloads explotables
Idea central	Una búsqueda Quality-Diversity (estilo MAP-Elites) devuelve un archivo de ataques diversos, no un óptimo único
Hallazgo clave	Perfiles de vulnerabilidad distintos por modelo; transferencia de ataques ~44–46 % vs ~14–18 % entre generaciones → alineación no monótona